Cybersecurity bei Medizinprodukten: Warum Sicherheit von Anfang an in die Entwicklung gehört

Cybersecurity bei Medizinprodukten beginnt nicht mit dem Penetrationstest kurz vor der Markteinführung, sondern mit der Architekturentscheidung. Das ist die zentrale Botschaft von Sebastian Wittor, Senior Project Manager Medical Engineering bei BAYOOMED in Darmstadt, der Hersteller bis zur Marktzulassung in IT-Sicherheitsfragen begleitet.

Moderne Medizinsoftware besteht nur noch zu einem Bruchteil aus selbst geschriebenem Code. Externe Bibliotheken und Frameworks bilden das Fundament. Eine SBOM, also eine strukturierte Komponentenliste, schafft zunächst Überblick. Entscheidend ist aber, was danach passiert. Wer bewertet Schwachstellen, wer entscheidet über Handlungsbedarf, und wie wird das dokumentiert? Genau hier scheitern viele Unternehmen laut Wittor.

Externe Penetrationstester spielen eine wichtige Rolle, weil sie unabhängig vom Entwicklungsteam denken und Schwachstellen kombiniert betrachten. Auch Usability ist ein Sicherheitsfaktor, denn unverständliche Fehlermeldungen oder komplizierte Anmeldeprozesse verleiten Nutzer zu riskanten Verhaltensweisen.

Bestandsgeräte mit Lebenszyklen von 20 bis 30 Jahren stellen ein strukturelles Problem dar. Für manche Systeme ist eine Nachzertifizierung wirtschaftlich nicht mehr sinnvoll. Übergangsregelungen existieren, gelten aber nur unter konkreten Bedingungen.

Die Verantwortung bei Sicherheitsvorfällen liegt je nach Komponente und Einsatzkontext unterschiedlich verteilt: beim Hersteller, beim Krankenhaus oder beim Anbieter eines extern betriebenen Dienstes. Transparente Kommunikation nach einem Vorfall kann das Vertrauen laut Wittor sogar stärken. Für kleinere Unternehmen und Start-ups bleibt die Umsetzung aller Anforderungen eine erhebliche Herausforderung.